Decir que tu servicio es soberano no basta. Hay que poder demostrarlo.
Ayudamos a proveedores cloud, SaaS, hosting, ERP, CRM, backup, gestión documental e IA a ordenar las evidencias que explican dónde prestan el servicio, quién interviene, cómo gestionan los datos y qué dependencias sostienen su solución.
La diferencia no está en decir «somos soberanos», sino en poder explicar y sostener cada afirmación.
Convertir una promesa de soberanía en un conjunto ordenado de evidencias.
La pregunta no es solo si la arquitectura puede considerarse más o menos soberana. La pregunta empresarial es si el proveedor puede demostrarlo de forma coherente cuando un cliente, un comprador, una licitación o una revisión interna se lo pide.
Entidad y control
Quién presta el servicio, dónde está establecido y qué estructura de propiedad o control puede ser relevante.
Infraestructura
Qué centros de datos, regiones, proveedores cloud y componentes sostienen el servicio.
Datos
Dónde se almacenan y procesan datos, backups, logs y telemetría y quién puede acceder.
Soporte y operación
Quién administra la plataforma, desde dónde y bajo qué controles y procedimientos.
Cadena de suministro
Subcontratistas, subprocesadores, software, servicios y dependencias de segundo nivel.
Portabilidad y salida
Qué recibe el cliente si se marcha, en qué formato y qué necesita para continuar en otro entorno.
La información existe, pero está dispersa.
Parte suele estar en contratos, otra en arquitectura, otra en seguridad, otra en operaciones y otra en proveedores de terceros. Cuando llega una pregunta de un cliente, la empresa responde reconstruyendo la historia cada vez.
Un dossier de preparación, no una etiqueta.
Matriz de evidencias
Qué afirmaciones sobre soberanía, datos, infraestructura, soporte, cadena de suministro y portabilidad pueden sostenerse y con qué prueba.
Mapa de gaps
Qué información falta, dónde existen contradicciones y qué áreas requieren documentación o validación adicional.
Prioridades
Qué debería resolverse primero según valor comercial, criticidad y posible exposición futura.
Repositorio de evidencias
Estructura para localizar y mantener documentación sin reconstruir cada respuesta desde cero.
Prepararse no significa afirmar que la obligación ya existe.
PROPUESTA El Cloud and AI Development Act (COM(2026) 502) sigue actualmente en procedimiento legislativo ordinario. La propuesta introduce un marco europeo para evaluar la soberanía de servicios cloud y de IA, pero el texto puede cambiar antes de su aprobación.
Por eso hablamos de readiness: identificar evidencias, gaps y dependencias que ya tienen valor comercial y que podrían adquirir mayor relevancia regulatoria.
«Los datos están en Europa» es una respuesta incompleta.
Lo que dice
Responde a una parte de la localización de los datos.
No explica necesariamente quién administra la infraestructura, qué subprocesadores intervienen, qué jurisdicciones pueden afectar al servicio, dónde están logs y backups o de qué tecnología depende la operación.
Lo que habría que demostrar
Localización, accesos, control operativo, cadena de suministro, dependencias y capacidad de salida mediante evidencias concretas y actualizadas.
No certificamos lo que todavía no podemos certificar.
Provider Readiness no es una certificación CADA, un nivel SEAL oficial ni una auditoría jurídica o de ciberseguridad completa. Su función es preparar al proveedor para entender, organizar y demostrar mejor su posición.
La preparación debe poder mantenerse cuando cambian el servicio, la arquitectura, los subprocesadores o los requisitos del mercado.
Priorizamos las evidencias con utilidad comercial y operativa, identificamos los gaps que requieren trabajo adicional y dejamos trazabilidad para mantener la información actualizada.
